Vulnerabilità · 18 ore fa

FortiMail espone i gateway email a chiunque arrivi da internet

Fortinet ha confermato che CVE-2026-104286 è già sfruttata su FortiMail, un gateway email perimetrale esposto su internet. Per chi la gestisce, non è un problema da amministratore autenticato: il bersaglio è il servizio pubblico che sta davanti a utenti e posta.

La falla è una path traversal senza login. Una richiesta costruita ad arte può spingere l’appliance a uscire dal percorso consentito e ad aprire o toccare dati che non dovrebbe raggiungere. In pratica, il controllo parte prima di qualunque credenziale o policy di casella.

Questo allarga la platea esposta a chiunque esponga FortiMail verso internet, non solo a chi amministra la console. CISA ha fissato una scadenza di rimedio al 4 ottobre, quindi la finestra per trattarlo come semplice avviso di vendor si è già chiusa.

CVE-2026-104286

NVD KEV

Sfruttamento noto · CISA KEV

CVSS 9.8 CRITICAL: an improper limitation of a pathname to a restricted directory ('path traversal') vulnerability in Fortinet FortiMail…

Data di correzione federale CISA 4 ott

Cronologia

4 ott Scadenza federale CISA per CVE-2026-104286
2 ott Segnalato da The Register Security
1 ott CVE-2026-104286 aggiunto al KEV CISA

Fonti

1 fonte che coprono questa storia

The Register Security 2 ott
Fortinet sounds the alarm over actively exploited FortiMail zero-day
No login required, exploitation underway, and some admins are still waiting for patches

Entità

CVE-2026-104286

Riepilogo fornitore: Fortinet

Part of the PlainSec briefing for 2026-10-03

Editions

Briefing for 2026-10-03

Storie correlate

Vulnerabilità · 18 ore faFortiMail espone i gateway email a chiunque arrivi da internetFortinet ha confermato che CVE-2026-104286 è già sfruttata su FortiMail, un gateway email perimetrale esposto su internet. Per chi la gestisce, non è un problema da amministratore autenticato: il bersaglio è il servizio pubblico che sta davanti a utenti e posta.La falla è una path traversal senza login. Una richiesta costruita ad arte può spingere l’appliance a uscire dal percorso consentito e ad aprire o toccare dati che non dovrebbe raggiungere. In pratica, il controllo parte prima di qualunque credenziale o policy di casella.Questo allarga la platea esposta a chiunque esponga FortiMail verso internet, non solo a chi amministra la console. CISA ha fissato una scadenza di rimedio al 4 ottobre, quindi la finestra per trattarlo come semplice avviso di vendor si è già chiusa.